Образец сведений о соответствии программного обеспечения требованиям по безопасности к ПО значимых объектов КИИ
Прикладное ПО, которое внедряют в значимый объект КИИ, должно отвечать требованиям по безопасности пункта 29.3 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239. Это безопасная разработка, испытания на уязвимости и поддержка безопасности. Выполнение требований оценивает тот, кто создаёт или модернизирует значимый объект, — ещё на этапе проектирования (пункт 29.4). Оценка строится на материалах разработчика, которые он представляет по техническому заданию. Сведения о соответствии собирают эти материалы в одну таблицу: требование, подтверждающие документы, их реквизиты и где их найти.
Как получить документ
Два пути: сформировать в кабинете или купить готовый образец за 700 ₽.
Сведения о соответствии программного обеспечения требованиям по безопасности к программному обеспечению значимых объектов КИИ по вашим данным
Документ собирается по самооценке процессов и перечню инструментов из мастера режима «Разработка безопасного ПО» — их ведут в кабинете. Анкета образца этого не посчитает, поэтому под вашу организацию он собирается в кабинете.
Что даёт кабинет
- ✓Документы с реквизитами и сведениями вашей организации, готовые к подписи
- ✓Сведения подставляются из того, что вы уже ввели, а пробелы видны до скачивания
- ✓Образцы заполнения во всех вариантах — для просмотра на платном тарифе, с файлами — при покупке документа
Раздел входит в тариф «Полный».
Что должно быть в документе
- наименование и версия программного обеспечения, модули, которые внедряются в значимый объект;
- значимый объект и его категория значимости по техническому заданию;
- реквизиты технического задания (частного технического задания), по которому представляются материалы;
- по каждому требованию подпунктов 29.3.1–29.3.3 — документы, которые его подтверждают;
- реквизиты документов, даты отчётов и место хранения машинных отчётов инструментов;
- требования только для объектов 1 категории — с отметкой, нужны ли они этому объекту;
- честно названные разрывы: что не реализовано и в какой срок по плану развития процессов;
- подпись ответственного за разработку безопасного ПО.
Как оформить
- Возьмите из технического задания объект, его категорию значимости и раздел с требованиями к прикладному ПО.
- Для объекта 2 или 3 категории отметьте требования только для 1 категории как не обязательные. Если документ всё же есть, укажите его: заказчику это полезно.
- По каждой строке назовите документ с датой и номером приказа, который его утвердил. Для отчётов укажите версию, дату и место машинного отчёта.
- Если процесс ещё внедряется, так и напишите и дайте срок из плана развития. Скрытый разрыв всплывёт при оценке.
- Подпишите сведения и передайте их вместе с перечисленными документами.
Сформируйте этот документ под свой профиль — с подстановкой реквизитов и без ошибок.
Сформировать в ГрамотаИБЧастые вопросы
Кто проводит оценку по пункту 29.4 — разработчик или заказчик?
Оценивает лицо, которое создаёт, модернизирует или ремонтирует значимый объект либо обеспечивает его безопасность. Это может быть интегратор по договору или сам субъект КИИ, если работы ведёт он. Разработчик ПО только представляет материалы. Результаты оценки входят в проектную документацию и передаются субъекту КИИ.
Нужны ли сведения, если ПО включено в реестр российских программ?
Нужны. Пункт 29.3 касается прикладного ПО, которое выполняет функции значимого объекта по назначению, и исключений для реестрового ПО не делает. Проектировщик всё равно оценивает руководство, анализ угроз, статический анализ, фаззинг и процедуры поддержки.
Обязательно ли внедрять ГОСТ Р 56939-2024, чтобы выполнить пункт 29.3?
Пункт 29.3 на стандарт прямо не ссылается. Но каждое его требование закрывается процессами ГОСТ Р 56939-2024, и документы по стандарту — самый короткий путь подтвердить выполнение.
Документы того же комплекта
Входит в полный комплект
- Полный комплект документов по безопасной разработке программного обеспечения — 45 документов с образцами за одну организацию, 8 900 ₽
Все образцы раздела: Безопасная разработка ПО (ГОСТ Р 56939-2024).
Нормативная основа: Приказ ФСТЭК России от 25.12.2017 № 239 (значимые объекты КИИ). Подробный разбор — в статье «Проверки кода по ГОСТ Р 56939-2024: статический и динамический анализ, фаззинг, тестирование».
Материал носит справочный характер и не заменяет юридическую оценку под конкретную ситуацию.